Imitieren von Windows-Benutzer mit AntiForgery Tokens

Question

Ich habe zwei Web-APIs; eine, die öffentlich ist und eine, die intern ist. Ich möchte, dass die Öffentlichkeit mit der internen kommuniziert. Allerdings würde ich zwei Sicherheitsebenen wie für die interne eins:

• Windows-Authentifizierung (die getan wird)
• Fälschungstoken (das ist, was ich habe Probleme mit)

im Moment bin ich Erzeugen des AntiForgery Token in der öffentlichen API:

string cookieToken, formToken; 
AntiForgery.GetTokens(null, out cookieToken, out formToken); 
return cookieToken + ":" + formToken; 

ich dann diejenigen, die in einem Filter abziehen in der internen API:

var request = actionContext.Request; 
if (!request.RequestUri.PathAndQuery.StartsWith("/api")) 
{ 
    return Task.FromResult(new HttpResponseMessage(HttpStatusCode.OK)); 
} 

string cookieToken = ""; 
string formToken = ""; 

IEnumerable<string> tokenHeaders; 
if (request.Headers.TryGetValues("RequestVerificationToken", out tokenHeaders)) 
{ 
    string[] tokens = tokenHeaders.First().Split(':'); 
    if (tokens.Length == 2) 
    { 
     cookieToken = tokens[0].Trim(); 
     formToken = tokens[1].Trim(); 
    } 
} 

try 
{ 
    AntiForgery.Validate(cookieToken, formToken); 
} 
catch (HttpAntiForgeryException ex) 
{ 
    return Task.FromResult(new HttpResponseMessage(HttpStatusCode.Unauthorized)); 
} 

return Task.FromResult(new HttpResponseMessage(HttpStatusCode.OK)); 

Das funktioniert, irgendwie. Der Fehler, den ich bekomme ist:

Das mitgelieferte Anti-Fälschungs-Token war für Benutzer "" gedacht, aber der aktuelle Benutzer ist "WINDOWS8VM \ Michael".

Irgendwie muss ich die Windows-Benutzer verkörpern, wenn die Token zu erzeugen, so dass der Benutzer die gleichen sind. Ein weiteres Problem besteht darin, dass die CredentialCache.DefaultNetworkCredentials leer sind. Dies ist fast sicher, da die Windows-Authentifizierung für die öffentliche API nicht aktiviert ist. Der Anwendungspool hat jedoch eine Identität und es wäre diese Identität, nach der ich suchen würde.

Answer 1

Da Sie nur überprüfen möchten, dass Ihre interne API von einem vertrauenswürdigen Aufrufer aufgerufen wird (dh öffentliche API), müssen Sie keine Fälschungs-Tokens verwenden. Stattdessen können Sie den gleichen Mechanismus verwenden, den AF-Token verwenden, um Ihre eigenen Daten in der öffentlichen API zu verschlüsseln, dann entschlüsseln und verifizieren Sie diese Daten, was Sie von der internen API erwarten. Dafür können Sie die Methoden MachineKey.Protect und MachineKey.Unprotect verwenden.

Wenn Sie dies tun, beachten Sie, dass Schlüssel, die für die Verschlüsselung je Anwendung verwendet werden könnten. Sehen Sie sich die Beschreibung des Elements machineKey an und notieren Sie sich den Effekt der Einstellung IsolateApps. Wenn Ihr Computerschlüssel mit IsolateApps konfiguriert ist, kann eine IIS-Anwendung Daten, die durch einen anderen geschützt sind (dieselbe Geschichte mit AF-Token), auch dann nicht entschlüsseln, wenn sie sich beide auf demselben Computer befinden.

Beachten Sie auch, dass, wenn Apps in dieser Hinsicht nicht isoliert sind, jede IIS-Anwendung auf demselben Computer in der Lage sein wird, Daten mit demselben Schlüssel zu verschlüsseln und Ihre interne API aufzurufen. Aber wenn Sie nur Ihre API von einem anderen Rechner in Ihrem Netzwerk schützen wollen - sollte das gut genug sein.

Wenn Sie nicht sicher sind, welche Daten zu verschlüsseln sind - kombinieren Sie alle vertraulichen Daten aus der Anfrage selbst, hacken Sie sie und schützen Sie diesen Hash. Dann bei internen API kombinieren Sie die gleichen Daten, Hash-es, Unprotect Daten vom Anrufer erhalten und sicherzustellen, dass ungeschützte Daten Ziel Hash übereinstimmt.